구글폼 응답이 다른 응답자에게 보였다면 과태료 대상일까, 결정문 8건의 기준

핵심 요약: 구글폼 같은 외부 설문도구에서 한 응답자의 개인정보가 다른 응답자에게 보였다면, 개인정보보호위원회(이하 "개인정보위")는 폼을 만들어 응답을 받은 기관이 안전조치 의무를 어긴 것으로 보고 과태료를 부과해 왔습니다. 근거는 개인정보 보호법 제29조(2021년 1건은 구 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 "구 정보통신망법") 제28조)이고, 최근 의결은 「개인정보의 안전성 확보조치 기준」(이하 "안전성 확보조치 기준") 제6조 제3항을, 그 전 의결은 같은 취지의 옛 고시 조항을 함께 들었습니다. 저희가 찾은 결정문 8건의 과태료는 180만 원에서 1,400만 원 사이였습니다. 설문도구가 구글의 서비스였어도 처분을 받은 쪽은 그 도구로 응답을 받은 기관이었습니다. 이벤트 신청·교육 접수·방청객 모집처럼 개인정보를 폼으로 받는 공공기관과 민간기업 모두에 해당하는 기준입니다.

구글폼 응답이 다른 응답자에게 보였다면 과태료 대상인가요?

결정문으로 보면 과태료 대상이 될 수 있습니다. 저희가 찾은 8건에서는 모두 과태료가 부과됐고 과징금이 부과된 사건은 없었습니다. 개인정보 보호법 제29조는 개인정보처리자에게 안전조치 의무를 지웁니다. 개인정보가 유출등(분실·도난·유출·위조·변조 또는 훼손)이 되지 아니하도록 내부 관리계획 수립과 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적·물리적 조치를 하여야 한다는 것입니다. 현행 안전성 확보조치 기준 제6조 제3항은 홈페이지나 공유설정 등을 통해 권한이 없는 사람에게 개인정보가 공개·유출되지 않도록 조치할 의무를 둡니다.

개인정보위도 2026년 10월 16일 보도참고자료에서 구글폼 공개 옵션을 잘못 설정한 개인정보처리자에게 과태료를 부과해 왔다고 밝혔습니다. 8건 가운데 3건은 결정문이 직원이나 담당자의 실수를 경위로 적었습니다. 직원의 실수라는 사정이 처분을 막지 못한다는 점은 업무 과실 유출도 처분 대상인지 정리한 글에서 따로 다뤘습니다.

실제로 응답은 어떻게 다른 사람에게 보였나요?

이 8건은 저희가 결정문 본문에서 구글 폼·구글 설문·결과 요약 보기·네이버 폼·설문 도구라는 표현을 검색해 찾은 것으로, 공개된 결정문 전부를 센 숫자가 아니며 네이버폼으로 처분된 사례는 찾지 못했습니다.

8건 가운데 6건은 결정문에 적힌 구글 설문의 「결과 요약 보기」 기능이 켜져 있어 응답을 마친 사람이 앞선 응답자들의 답을 볼 수 있었던 사안이고, 여러 결정문은 그 경로를 「이전 응답 참조」로 적었습니다. 나머지 2건(제2021-011-095호·제2025-208-189호)은 폼의 접근권한을 제한하지 않은 사안이었습니다. 음악방송 방청객 모집 사안(제2025-221-433호)에서는 신청 접수가 시작된 2025년 6월 16일 오후 6시부터 약 33분 동안 2,716명의 이름·생년월일·휴대전화번호 등이 항목별로 나뉘어 공개됐습니다. 크리에이터 가입 신청 사안(제2025-212-284호)에서는 노출된 사람이 24명뿐이었지만 노출 기간은 11일이었고, 주민등록번호와 계좌번호까지 보였습니다.

표에서 보듯이 과태료는 노출 규모에 비례하지 않았습니다. 2,716명이 노출된 사안의 과태료는 360만 원이었고, 2025년 3건과 2022~2023년 3건은 모두 1회 위반 기준금액 600만 원에서 조사 협력·시정 완료 등을 이유로 감경한 금액이었습니다. 2021년 사안만 1,400만 원으로 높은데, 이 회사는 최근 3년 안에 같은 위반으로 과태료를 받은 적이 있어 2회 위반 기준금액 2,000만 원이 적용됐고 여기서 30%가 감경됐습니다. 이 사안에는 구 정보통신망법 제28조가 적용됐습니다.

「구글 서버 오류였다」는 주장은 받아들여졌나요?

받아들여지지 않았습니다. 이벤트 참가자 96명의 정보가 노출된 쇼핑몰 사안(제2022-020-183호)에서 회사는 결과 요약 보기 옵션이 켜진 원인으로 구글 쪽 서버 오류의 가능성을 들었습니다. 그러나 위원회는 회사가 그 원인을 끝까지 명확하게 밝히지 못했다고 보았고, 담당자도 설문 설정을 바꾼 기록은 확인할 수 없다고 답했습니다. 결국 위원회는 과태료 300만 원을 부과했습니다. 따라서 도구 제공자의 오류를 주장하려는 기관에는 설정이 언제 어떻게 바뀌었는지 보여 줄 기록이 필요한 것으로 보입니다.

주민등록번호까지 받았다면 무엇이 더 문제되나요?

주민등록번호가 노출된 2건에는 제29조에 더해 제24조 제3항이 함께 적용됐습니다. 제24조 제3항은 주민등록번호 같은 고유식별정보를 처리하는 자가 암호화 등 안전성 확보 조치를 하여야 한다고 정합니다. 창업교육 운영사 언더독스 주식회사(제2025-208-189호)는 수당 지급과 원천징수를 위해 주민등록번호를 받았는데, 담당 직원이 입력 정보의 접근권한을 제한하지 않아 208명의 정보가 약 1시간 15분 동안 노출됐습니다. 위원회는 주민등록번호를 받기 전에 설문 설정을 미리 점검하고 고치지 않은 점을 필요한 조치의 소홀로 보았습니다.

경품 이벤트라면 주민등록번호를 받을 근거부터 따져야 합니다. 개인정보위의 「분야별 개인정보 보호 안내서」(2024. 12.) 온라인 경품행사 편은 경품이 5만 원을 넘어 제세공과금 처리가 필요한 경우에만 주민등록번호를 받도록 하고, 5만 원 이하 경품에 주민등록번호를 받는 것을 잘못된 사례로 들었습니다.

구글폼을 쓰면 구글에 재위탁한 것이 되나요?

개인정보위의 2026년 10월 16일 보도참고자료는 이 질문에 일부 답을 주었습니다. 위·수탁 관계인지는 서비스 제공자가 개인정보 처리에 관여하는지와 관리·통제 관계 등 구체적인 이용 형태를 종합해 판단하며, 이용기관인 수탁사와 구글·네이버폼 등 사이에는 재위탁 관계가 성립하지 않는다는 것입니다. 다만 이 설명은 수탁사와 설문도구 사이의 관계에 관한 것이므로, 어떤 경우에나 구글폼이 수탁자가 아니라는 뜻으로 넓혀 읽기는 어렵습니다. 사안에 따라 결론이 달라질 수 있습니다.

나아가 같은 자료는 공공·민간을 가리지 않고 외부 설문도구를 쓸 때에도 이용기관이 자기 관리·통제 아래 최소 수집, 공개설정 금지, 목적 달성 시 파기 등의 안전조치를 지켜야 한다고 밝혔습니다. 재위탁이 아니라는 것은 책임이 없다는 뜻이 아니라, 안전조치의 책임이 폼을 만든 이용기관에 남는다는 뜻으로 보입니다. 재위탁 해당 여부는 SaaS 약관과 위탁 문서를 다룬 글에서도 이 자료를 반영해 다뤘습니다.

설문을 만들 때 무엇을 확인해야 하나요?

우선 받을 항목을 줄였는지 확인해야 합니다. 개인정보 보호법 제16조는 목적에 필요한 최소한의 개인정보만 수집하도록 하고, 최소한이라는 점은 개인정보처리자가 입증해야 합니다. 안내서는 경품행사 참여 양식에 성명·연락처·주소 같은 발송용 정보를 넣지 말고, 당첨자 발표 뒤 당첨자에게만 따로 받으라고 안내합니다. 이 방식을 따르면 설정 사고가 나더라도 노출되는 정보가 줄어들 것으로 보입니다. 다만 당첨자 정보를 받는 폼에서도 319건의 주소가 노출된 사안(제2024-208-204호)이 있었습니다.

다음으로 응답 접수를 시작하기 전에 공개 설정을 점검했는지 확인해야 합니다. 위원회가 언더독스 사안에서 문제 삼은 것도 수집 전 점검의 부재였습니다. 마지막으로 목적을 달성한 응답과 내려받은 파일을 지체 없이 파기했는지 확인해야 합니다(제21조 제1항). 안내서는 경품행사의 경우 미당첨자 정보를 추첨 뒤 지체 없이 지우고, 당첨자 정보는 특별한 사정이 없으면 발송일로부터 1개월 안에 파기하도록 안내합니다.

사고가 이미 났다면 사고 뒤의 대응이 감경 사유로 인정된 사례가 있습니다. 언더독스는 참가자의 제보로 노출을 알자마자 접근을 막았고, 다음 날 정보주체에게 통지했으며, 그다음 날 유출 신고를 했습니다. 이어 정보주체들과 파기 합의서를 받고 보상금을 지급했고, 위원회는 조사 협력·시정 완료·피해구제 이행 등을 감경 사유로 인정해 기준금액에서 65%를 감경했습니다. 유출 사고 뒤의 통지·신고 절차는 유출 사고 대응 허브에서 이어서 보실 수 있습니다.

자주 묻는 질문

구글폼 응답이 30분 정도만 노출됐는데도 과태료가 나올 수 있나요?

그런 의결이 있습니다. 음악방송 방청객 모집 폼에서 신청 시작 후 약 33분 동안 이전 신청자 2,716명의 응답이 보인 사안에서 개인정보위는 과태료 360만 원을 부과했습니다(제2025-221-433호). 노출 시간이 짧았어도 위반은 인정됐고, 과태료 액수는 기준금액에서 조사 협력·시정 완료 등을 이유로 감경하는 방식으로 정해졌습니다.

응답이 공개된 원인이 구글 쪽 오류라고 주장하면 책임을 피할 수 있나요?

결정문에서는 받아들여지지 않았습니다. 이벤트 참가자 96명의 정보가 노출된 쇼핑몰 사안에서 회사는 구글 서버 오류 가능성을 제기했지만, 위원회는 회사가 그 원인을 끝내 명확히 소명하지 못했다고 보고 과태료 300만 원을 부과했습니다(제2022-020-183호). 이 사안에서는 설문 설정을 바꾼 기록도 확인할 수 없었습니다.

수탁사가 업무에 구글폼을 쓰면 구글에 재위탁한 것이 되나요?

개인정보위는 2026년 10월 16일 보도참고자료에서 이용기관인 수탁사와 구글·네이버폼 등 사이에는 재위탁 관계가 성립하지 않는다고 밝혔습니다. 다만 같은 자료는 외부 설문도구를 쓰더라도 이용기관이 자기 관리·통제 아래 최소 수집, 공개설정 금지, 목적 달성 시 파기 등의 안전조치를 지켜야 한다고 적었습니다. 재위탁이 아니라는 것이 책임이 없다는 뜻은 아닌 것으로 보입니다.

참고 자료

• 개인정보보호위원회 보도참고자료, 「외부 설문도구 이용 시 개인정보 처리 준수 사항에 대해 보다 명확히 안내하겠습니다」(2026. 10. 16.): https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12585
• 개인정보보호위원회, 「분야별 개인정보 보호 안내서」(2024. 12.) 온라인 경품행사 편
• 개인정보보호위원회 의결: 제2021-011-095호, 제2022-020-183호, 제2022-020-184호, 제2023-009-101호, 제2024-208-204호, 제2025-208-189호, 제2025-212-284호, 제2025-221-433호